Jurisprudentieblog Data & Privacy | juli 2026

Kan een commerciële databank met strafrechtelijke gegevens zich beroepen op persvrijheid? En mag een bank de afspraken die zij met een externe dienstverlener maakt over klantgegevens buiten het zicht van diezelfde klanten houden? Beide vragen kwamen recent aan de orde in de rechtspraak. Het Hof van Justitie van de EU (hierna: het Hof) wees een arrest over de reikwijdte van de journalistieke exceptie in artikel 85 AVG. In Nederland oordeelde de rechtbank Amsterdam dat ING inzage moet geven in haar contractuele afspraken met Google over betalingen via Google Pay. Lees meer over deze uitspraken in dit jurisprudentieblog.

HvJ EU scherpt journalistieke exceptie AVG aan

Op 9 juli 2026 heeft het Hof een arrest gewezen over artikel 85 AVG en hoe de journalistieke exceptie moet worden uitgelegd bij online publicaties van persoonsgegevens. Het Hof maakt duidelijk dat lidstaten de journalistieke exceptie niet mogen oprekken en scherpt de definitie van journalistieke doeleinden aan.

Journalistieke exceptie

Hoe zat het ook alweer met de journalistieke exceptie? De AVG beschermt persoonsgegevens, maar botst soms met de vrijheid van meningsuiting. Denk aan een journalist die onderzoek doet naar een publiek figuur: strikte toepassing van alle AVG-regels zou zijn werk vrijwel onmogelijk maken. Om die reden bevat artikel 85 van de AVG een bijzondere regeling. Zo volgt uit lid 1 dat lidstaten beide grondrechten met elkaar in evenwicht moeten brengen. Daarnaast bepaalt lid 2 dat zij voor journalistieke, academische, artistieke en literaire doeleinden mogen afwijken van grote delen van de AVG. Zonder die uitzondering zouden zaken als nieuwsvoorziening, wetenschappelijk onderzoek en kunstuiting ernstig in het gedrang komen.

Aan die vrijheid zitten wel duidelijke grenzen. Afwijken mag alleen voor die vier specifieke doeleinden. Niet voor andere activiteiten, ook niet als de vrijheid van meningsuiting in het geding is. Ook mag van de rechtsbescherming van de betrokkene (waaronder het klachtrecht bij de toezichthouder, het recht op een gang naar de rechter en het recht op schadevergoeding) nooit worden afgeweken. Wat ‘journalistieke doeleinden’ precies inhoudt, was tot dit arrest onduidelijk. Vast stond alleen dat het begrip ruim moest worden uitgelegd.^[1]

Feiten en verloop van de procedure

De zaak draaide om de Zweedse vennootschap Legal Newsdesk Sweden, die de databank Lexbase exploiteert. Wie bereid is te betalen, kan via deze databank zoeken op personen en bedrijven die in Zweden strafrechtelijk zijn vervolgd. Ook verzoeker kwam erin voor: hij was in 2011 veroordeeld en zijn gegevens bleven jarenlang online raadpleegbaar. Toen verzoeker om verwijdering vroeg, gebeurde dat niet direct, maar pas later op basis van het interne bewaarbeleid van Legal Newsdesk. Uiteindelijk vorderde hij 300.000 SEK (ca. € 26.000) schadevergoeding wegens schending van de AVG.

Legal Newsdesk voerde hiertegen verweer. Zij beriep zich op "het Zweedse utgivningsbevis", een grondwettelijk publicatiecertificaat dat volgens Zweeds recht meebrengt dat de AVG buiten toepassing blijft. Wie zich benadeeld voelt, kan volgens die constructie enkel een strafrechtelijke of civielrechtelijke smaadprocedure starten, een aanzienlijk hogere drempel dan een AVG-vordering. De Zweedse rechter twijfelde of dit verenigbaar was met het Unierecht en legde de zaak voor aan het Hof.

Oordeel van het Hof

Het Hof beantwoordt drie vragen.

1. Kunnen lidstaten verder gaan dan artikel 85 lid 2 toestaat?

Het antwoord hierop is nee. Volgens het Hof biedt lid 1 geen zelfstandige grondslag om verdergaande afwijkingen op de AVG te creëren dan lid 2 al toestaat. Uitzonderingen op de AVG moeten strikt worden uitgelegd, en alleen de vier specifiek genoemde uitdrukkingsvormen rechtvaardigen dergelijke afwijkingen. Wat de Zweedse wetgever deed, ging dus te ver.

2. Mag de rechtsbescherming worden ingeperkt?

Ook hier is het antwoord ontkennend. Artikel 85 lid 2 benoemt uitputtend van welke onderdelen van de AVG lidstaten mogen afwijken wanneer persoonsgegevens voor journalistieke doeleinden worden verwerkt. Hoofdstuk 8 van de AVG, dat het klachtrecht bij de toezichthouder, de gang naar de rechter en het recht op schadevergoeding regelt, wordt in die opsomming niet genoemd. Daarvan mag dus niet worden afgeweken. Lidstaten mogen wel procedureregels vaststellen op grond van procedurele autonomie, maar geen aanvullende materiële voorwaarden opleggen. Een regeling die de betrokkene dwingt zijn recht via een smaadactie te halen (met alle bewijsproblemen van dien) is daarmee onverenigbaar.

3. Wanneer is sprake van journalistieke doeleinden?

Het Hof erkent dat het begrip ruim moet worden uitgelegd, maar formuleert tegelijk vier cumulatieve kenmerken. In de eerste plaats moet de verwerking gericht zijn op openbaarmaking van informatie, meningen of ideeën aan het publiek. Ten tweede moet er sprake zijn van een vorm van verwerking, of ten minste van openbaarmaking van informatie, meningen of ideeën aan het publiek. Ten derde moeten feitelijke beweringen op juistheid zijn geverifieerd. En ten vierde moet de activiteit onderworpen zijn aan de morele en ethische regels van het journalistieke beroep.

Belangrijk is dat het commerciële karakter (betaling) en de gevoelige aard van de gegevens (strafrechtelijke veroordelingen) op zichzelf niet uitsluiten dat er sprake is van journalistiek. Ook een betaalde nieuwssite kan journalistiek zijn. Maar Lexbase was dat volgens het Hof niet: de databank stelde openbare documenten zonder bewerking, zonder redactionele lijn en zonder journalistieke ethiek beschikbaar. Dat die documenten nuttig kunnen zijn voor journalisten maakt dat niet anders: zij moeten uitsluitend bestemd zijn voor journalistieke werkzaamheden.

Betekenis voor de praktijk

Wie persoonsgegevens uit openbare bronnen ontsluit, of het nu gaat om rechtbankstukken, kadastergegevens of andere registers, kan zich niet zonder meer op de journalistieke exceptie beroepen. Zonder redactionele bewerking, verificatie en journalistieke ethiek is de AVG onverkort van toepassing, inclusief de aanvullende waarborgen van artikel 10 AVG voor strafrechtelijke gegevens. Bedrijfsmodellen die drijven op het aggregeren en doorverkopen van dergelijke gegevens zullen kritisch onder de loep moeten worden genomen.

In Nederland regelt artikel 43 UAVG de vrijstellingen voor gegevensverwerkingen met het oog op journalistieke doeleinden. Dit arrest laat zien dat dit artikel strikt moet worden uitgelegd, en dat de rechten uit hoofdstuk 8 AVG door nationale wetgeving nooit mogen worden uitgesloten of belemmerd. Betrokkenen behouden dus altijd hun klachtrecht bij de Autoriteit Persoonsgegevens, hun gang naar de rechter en hun recht op schadevergoeding, ongeacht op welke persvrijheid de verwerker zich beroept.

Overigens zullen de traditionele nieuwsmedia doorgaans voldoen aan de vier criteria die het Hof formuleert. Zij zullen zich ook na dit arrest op de journalistieke exceptie kunnen beroepen.

ING moet contracten met Google op tafel leggen

De Consumentenbond en Stichting Benadeelden in Actie (SBIA) willen weten wat Google precies doet met de betaalgegevens van ING-klanten. ING weigerde haar contracten te delen. De rechtbank Amsterdam heeft vervolgens de bank verplicht tot openheid over privacy bij betalen via Google Pay.

Contactloos betalen via Google Pay

Wie een ING-rekening heeft en contactloos wil betalen met een Android-telefoon, kan sinds september 2024 niet meer om Google heen. ING schafte haar eigen betaalapp af en biedt sindsdien alleen nog Google Pay aan. De Consumentenbond en SBIA maken zich hierbij zorgen over de privacy van ING-klanten die betalen met deze betaalmethode. Klantgegevens zouden volgens die organisaties terechtkomen bij Google, die bekend om eerdere privacyschendingen. Bij elke betaling via Google Pay deelt ING gegevens met Google. Niet alleen naam, adres en telefoonnummer bij de activatie, maar ook de details van elke transactie: wanneer je betaalde, hoeveel, en in welke winkel. Google slaat die gegevens op, in ieder geval om klanten een betalingsoverzicht te kunnen tonen. De belangenorganisaties vragen zich af of Google die gegevens ook mogelijk gebruikt om profielen te verrijken en advertenties te verkopen.

Welke gegevens worden gedeeld?

De gegevensstroom tussen ING en Google valt uiteen in twee momenten. Bij activatie ontvangt Google de naam, het adres en het telefoonnummer van de rekeninghouder. Die gegevens zijn nodig om de betaalpas digitaal te koppelen aan het Google-account van de klant. Bij elke betaling deelt ING de datum, het tijdstip, het bedrag en de naam en locatie van de winkel. Zonder die gegevens kan de transactie niet worden verwerkt. Google bewaart die gegevens echter ook: gebruikers kunnen in Google Pay een overzicht van hun betalingen opvragen.

Gezamenlijke verwerkingsverantwoordelijkheid

De rechtbank stelt vast dat ING en Google deze gegevens verwerken voor hetzelfde doel: het faciliteren van contactloos betalen. Dit brengt een gezamenlijke verwerkingsverantwoordelijkheid met zich mee. ING betoogde dat zij alleen samen met Google verantwoordelijk is voor de activatie van de betaaltoken. Voor al het andere zou Google zelfstandig verantwoordelijk zijn. De rechtbank verwerpt die redenering. De AVG bepaalt dat partijen gezamenlijk verwerkingsverantwoordelijk zijn wanneer zij samen de doeleinden en middelen van een verwerking bepalen. Daarvan is hier sprake. ING en Google werken samen met één doel: klanten laten betalen via Google Pay. De partijen verwerken daarvoor dezelfde gegevens.

Die kwalificatie brengt verplichtingen met zich mee. Gezamenlijk verwerkingsverantwoordelijken moeten conform artikel 26 AVG op transparante wijze vastleggen wie waarvoor verantwoordelijk is, met name voor de uitoefening van de rechten van betrokkenen en de informatieverstrekking aan hen. De kern van die afspraken moet bovendien beschikbaar worden gesteld aan de betrokkenen om wiens gegevens het gaat. ING stelt dat zij afspraken heeft gemaakt met Google, maar weigert de inhoud te delen. Dat is moeilijk te rijmen met de transparantie die de AVG juist voorschrijft.

Verwerkingsgrondslag

Het verwerken van persoonsgegevens is alleen rechtmatig als daarvoor een grondslag bestaat in artikel 6 AVG. Voor de uitvoering van de betaling zelf is die grondslag duidelijk: de verwerking is noodzakelijk voor de uitvoering van een overeenkomst, want zonder de transactiegegevens kan de betaling niet worden verwerkt. Echter, gaat die verwerking verder dan wat nodig is voor de betaling? De Google Payments Privacy Notice verwijst naar het algemene privacybeleid van Google en stelt dat gegevens worden gebruikt voor “every day business purposes”. Dit is een vrij open term. Google verdient volgens de rechtbank geld met profielen en gerichte advertenties. Als Google betaalgegevens zou gebruiken om gebruikersprofielen te verrijken, rijst de vraag welke grondslag daarvoor geldt. Toestemming wordt namelijk niet expliciet gevraagd, en bij de grondslag gerechtvaardigd belang zullen de privacybelangen van betrokkenen zwaar wegen, zeker bij gegevens die veel zeggen over iemands dagelijks leven. De Consumentenbond wil deze kwestie kunnen controleren. Zonder inzage in de contracten valt niet vast te stellen welke gegevensverwerking is overeengekomen en of Google zich daaraan houdt.

De zorgplicht van de bank als privacywaarborg

In deze zaak wees de rechtbank op de bancaire zorgplicht van ING, die kan meebrengen dat ING garanties moet bedingen om te voorkomen dat Google persoonsgegevens gebruikt voor doelen die niets met betalen te maken hebben. De bescherming van persoonsgegevens volgt dus indirect uit deze zorgplicht. De rechtbank overweegt dat het hier gaat om gegevens die "zeer privacygevoelig" zijn. Betaalgegevens onthullen waar iemand komt, wat iemand koopt, wanneer en hoe vaak. Als ING haar klanten naar een externe partij leidt voor een basale bankfunctie als betalen, mag van haar worden verwacht dat zij waarborgen bedingt voor de bescherming van die gegevens. Of ING dat heeft gedaan, moet blijken uit de contracten die zij nu moet overleggen.

Betekenis voor de praktijk

De rechtbank heeft in deze uitspraak expliciet geoordeeld dat een afspraak tussen ING en Google over vertrouwelijkheid niet kan verhinderen dat de Consumentenbond inzage krijgt. Ook als verwerkingsverantwoordelijken onderling geheimhouding zijn overeengekomen, blijft het recht voor betrokkenen bestaan om te weten hoe verwerkingsverantwoordelijken hun onderlinge verhouding hebben ingericht. Transparantieverplichtingen zijn dus niet weg te contracteren.

Dit raakt ook organisaties buiten de bancaire sector. Verwerk je persoonsgegevens samen met externe partijen? Onze specialisten denken graag mee.

[1] HvJ EU Satakunnan, C-73/07; overweging 153 AVG.